关于发布《深圳证券交易所中小企业板保荐工作指引》（2008年修订）的通知
作者:法律资料网 时间:2024-07-08 05:04:49 浏览:8274
来源:法律资料网
关于发布《深圳证券交易所中小企业板保荐工作指引》（2008年修订）的通知
深圳证券交易所
关于发布《深圳证券交易所中小企业板保荐工作指引》（2008年修订）的通知
各保荐机构、中小企业板上市公司：
为加强中小企业板上市公司保荐机构和保荐代表人作用，提高中小企业板上市公司规范运作水平，促进中小企业板健康发展，根据《证券发行上市保荐业务管理办法》、《深圳证券交易所股票上市规则》等有关法律、法规、规章和本所相关业务规则，结合中小企业板上市公司保荐工作监管实践，我所修订了《深圳证券交易所中小企业板保荐工作指引》，现予以发布，自发布之日起施行。
特此通知
附件：《深圳证券交易所中小企业板保荐工作指引》（2008年修订）
深圳证券交易所
二○○八年十二月八日
附件：
深圳证券交易所中小企业板保荐工作指引
（2004年8月9日发布，2008年12月第一次修订）
第一章 总 则
第一条 为了加强中小企业板上市公司保荐机构和保荐代表人作用，提高中小企业板上市公司规范运作水平，促进中小企业板健康发展，根据《证券发行上市保荐业务管理办法》（以下简称“《保荐办法》”）、《深圳证券交易所股票上市规则》（以下简称“《上市规则》”）等有关法律、法规、规章和本所相关业务规则，制定本指引。
第二条 本指引适用于深圳证券交易所（以下简称“本所”）中小企业板上市公司（以下简称“发行人”或“上市公司”）的上市推荐和持续督导工作。
第三条 保荐机构和保荐代表人应当遵守法律、行政法规、中国证监会的规定以及本所发布的业务规则、规定和通知等，诚实守信，公正独立，勤勉尽责，尽职推荐发行人证券上市，持续督导上市公司履行规范运作、信守承诺、信息披露等义务。
保荐机构和保荐代表人不得通过保荐业务谋取任何不正当利益。
第四条 保荐机构和保荐代表人应当保证向本所出具的文件真实、准确、完整，不存在任何虚假记载、误导性陈述或重大遗漏。
第二章 保荐协议
第五条 保荐机构在推荐发行人证券上市之前，应当与发行人签订保荐协议，明确双方在发行人申请上市期间和持续督导期间的权利和义务。保荐协议应在提交上市申请文件时同时报送本所。
发行人证券上市后，保荐机构与发行人对保荐协议内容作出修改的，应当于修改后五个工作日内报本所备案。
终止保荐协议的，保荐机构和发行人应当自终止之日起五个工作日内向本所报告，并说明原因。
第六条 保荐机构与发行人应当在保荐协议中约定以下内容：
（一）保荐机构及其保荐代表人有权列席发行人的董事会、监事会和股东大会；
（二）保荐机构及其保荐代表人有权随时查询发行人募集资金专用账户资料；
（三）发行人应及时提供保荐机构发表独立意见事项所必需的资料，确保保荐机构及时发表意见；
（四）发行人应积极配合保荐机构的现场检查工作以及参加保荐机构组织的培训等，不得无故阻挠保荐机构正常的持续督导工作；
（五）发行人有下列情形之一的，应及时通知保荐机构并按约定方式及时提交相关文件：
1．变更募集资金及投资项目等承诺事项；
2．发生关联交易、为他人提供担保等事项；
3．履行信息披露义务或应向中国证监会、本所报告的有关事项；
4．发行人或其董事、监事、高级管理人员、控股股东、实际控制人等发生违法违规行为；
5．《证券法》第六十七条、七十五条规定的重大事件或其他对发行人规范运作、持续经营、履行承诺和义务具有影响的重大事项；
6．中国证监会、本所规定或者保荐协议约定的其他事项。
第三章 保荐期间
第七条 保荐期间包括上市推荐期间和持续督导期间。
第八条 首次公开发行股票的，持续督导期间为股票上市当年剩余时间及其后两个完整会计年度；上市后发行新股、可转换公司债券和分离交易的可转换公司债券的，持续督导期间为股票、可转换公司债券或者分离交易的可转换公司债券上市当年剩余时间及其后一个完整会计年度；申请恢复上市的，持续督导期间为股票恢复上市当年剩余时间及其后一个完整会计年度。
持续督导期间自股票、可转换公司债券或者分离交易的可转换公司债券上市之日起计算。
第九条 在持续督导期间，保荐机构发生变更，新聘请的保荐机构应当完成原保荐机构未完成的持续督导工作，且持续督导的时间不得少于一个完整的会计年度。
第十条 持续督导期届满，存在以下尚未完结的保荐工作的，保荐机构应当继续完成：
（一）募集资金使用；
（二）可转换公司债券、分离交易的可转换公司债券的转股、行权；
（三）股东承诺事项；
（四）其他尚未完结的事项。
保荐机构在保荐期间未勤勉尽责的，其责任不因持续督导期届满而免除或者终止。
第十一条 出现以下情形之一的，本所鼓励上市公司及时重新聘请保荐机构进行持续督导：
（一）上市公司或其控股股东、实际控制人受到证监会行政处罚或者本所公开谴责的；
（二）上市公司连续二年信息披露考核结果为不合格的；
（三）本所认定的其他情形。
持续督导时间直至相关违规行为已经得到纠正、重大风险已经消除，且不少于上述情形发生当年剩余时间及其后一个完整的会计年度；
若上市公司出现上述情形时仍处于持续督导期，但持续督导剩余时间少于前款所要求时间的，本所鼓励上市公司和保荐机构顺延现有持续督导期。
上市公司重新聘请保荐机构的，应当及时披露保荐协议的主要内容。
第四章 保荐机构、保荐代表人变更
第十二条 保荐工作期间，保荐对象不得更换保荐机构，但因再次申请发行证券、保荐机构被中国证监会撤销保荐机构资格的除外。
在保荐工作期间内，保荐机构发生变更的，原保荐机构应配合做好交接工作，并在发生变更的五个工作日内向新保荐机构提交以下文件：
（一）原保荐机构关于上市公司存在的问题、风险以及需重点关注事项的书面说明文件；
（二）原保荐机构在持续督导期间向本所、证监局等监管部门报送的函件、提交的现场检查报告、保荐工作报告书等材料；
（三）原保荐机构认为需要移交的其他文件。
新聘请的保荐机构应当自保荐协议签署之日起开展保荐工作并承担相应的责任。原保荐机构在履行保荐职责期间未勤勉尽责的，其责任不因保荐机构的更换而免除或者终止。
第十三条 保荐工作期间，保荐机构不得更换保荐代表人，但因保荐代表人离职或者被撤销保荐代表人资格的除外。
保荐机构更换保荐代表人的，应当通知上市公司，并在五个工作日内向中国证监会、本所报告，说明原因，并及时公告。
在保荐工作期间内，保荐代表人发生变更的，保荐机构应合理安排过渡期间的保荐工作，原保荐代表人应做好保荐工作的交接工作，及时移交工作底稿等相关资料，提供关于上市公司存在的问题、风险以及需重点关注事项的书面说明文件，协助新保荐代表人履行保荐工作职责。
保荐代表人在保荐期间未勤勉尽责的，其责任不因保荐代表人更换而免除或终止。
第五章 上市推荐
第十四条 保荐机构在推荐发行人证券上市过程中，应当履行尽职调查和审慎核查的义务，并有充分理由确信发行人向本所提交的上市公告文件等相关文件不存在虚假记载、误导性陈述或重大遗漏。
第十五条 保荐机构推荐发行人证券在本所中小企业板上市，应当向本所提交以下文件：
（一）上市保荐书；
（二）保荐协议；
（三）保荐机构对保荐代表人的专项授权书；
（四）保荐代表人声明与承诺；
（五）与上市推荐工作有关的其他文件。
第十六条 上市保荐书应当包括以下内容：
（一）发行股票、可转换公司债券或者分离交易的可转换公司债券的公司概况；
（二）申请上市的股票、可转换公司债券或者分离交易的可转换公司债券的发行情况；
（三）保荐机构是否存在可能影响公正履行保荐职责情形的说明；
（四）保荐机构按照有关规定应当承诺的事项；
（五）对公司持续督导期间的工作安排；
（六）保荐机构和相关保荐代表人的联系地址、电话和其他通讯方式；
（七）保荐机构认为应当说明的其他事项；
（八）本所要求的其他事项。
上市保荐书应当由保荐机构的法定代表人（或者授权代表）和相关保荐代表人签字，注明日期并加盖保荐机构公章。
第十七条 保荐机构和保荐代表人应当关注在发行人证券核准发行至上市期间发生的可能对投资者投资决策产生重大影响的事项，并及时向本所报告。
第六章 督导内部制度建立和执行
第十八条 保荐机构和保荐代表人应当督导上市公司及其董事、监事和高级管理人员遵守法律、行政法规、部门规章、规范性文件和本所发布的其他业务规则，并履行向本所做出的承诺。
第十九条 保荐机构和保荐代表人应当督导上市公司建立健全并有效执行公司治理制度，包括但不限于股东大会、董事会、监事会议事规则以及董事、监事和高级管理人员的行为规范等。
第二十条 保荐机构和保荐代表人应当督导上市公司建立健全并有效执行内控制度，包括但不限于财务管理制度、会计核算制度和内部审计制度，以及募集资金使用、关联交易、对外担保、对外投资等重大经营决策的程序与规则等。
第二十一条 保荐机构和保荐代表人应当督导上市公司建立健全并有效执行信息披露制度，审阅信息披露文件及其他相关文件，并有充分理由确信上市公司向本所提交的文件不存在虚假记载、误导性陈述或重大遗漏。
保荐机构和保荐代表人可以对上市公司的信息披露文件及向中国证监会、本所提交的其他文件进行事前审阅，对存在问题的信息披露文件应当及时督促上市公司更正或补充，发行人不予更正或补充的，应及时向本所报告。
保荐机构和保荐代表人对上市公司的信息披露文件未进行事前审阅的，应当在上市公司履行信息披露义务后五个交易日内，完成对有关文件的审阅工作，对存在问题的信息披露文件应当及时督促上市公司更正或补充，上市公司不予更正或补充的，应及时向本所报告。
第七章 关注与报告事项
第二十二条 保荐机构和保荐代表人应当主动持续关注上市公司以下事项：
（一）经营环境和业务情况，包括行业发展前景、国家产业政策的变化、主营业务的变更、产品结构变化、重大客户和重要资产的情况等；
（二）股权变动情况，包括股本结构的变动、控股股东的变更、有限售条件股份的变动等；
（三）管理层重大变化情况，包括重要管理人员的变化、管理结构的变化等；
（四）市场营销情况，包括市场开发情况、销售和采购渠道、销售模式的变化、市场占有率的变化等；
（五）核心技术情况，包括技术的先进性和成熟性、新产品开发和试制等；
（六）财务状况，包括会计政策的稳健性、债务结构的合理性、经营业绩的稳定性等；
（七）保荐机构和保荐代表人认为需要关注的其他事项。
上述事项发生重大变化时，保荐机构和保荐代表人应及时向本所报告，如达到信息披露标准，保荐机构和保荐代表人应督促上市公司及时履行信息披露义务。
第二十三条 上市公司或其控股股东、实际控制人、董事、监事、高级管理人员受到中国证监会行政处罚或者本所通报批评、公开谴责处分的，保荐机构和保荐代表人应当重点关注违规事项相关的内部控制制度、违规事项持续状况及解决措施。
第二十四条 保荐机构和保荐代表人应持续关注上市公司及控股股东、实际控制人等履行承诺的情况，对上市公司及控股股东、实际控制人等未履行承诺事项的，保荐机构和保荐代表人应当及时向本所报告。
第二十五条 保荐机构和保荐代表人应当关注公共传媒关于上市公司的报道，及时针对市场传闻进行核查。如果经核查发现上市公司存在应披露未披露的事项或者与披露不符的事实，保荐机构和保荐代表人应当及时督促上市公司如实披露或澄清；情节严重的，应当向本所报告。
第二十六条 在持续督导期间出现以下情形之一的，保荐机构和保荐代表人应当督促上市公司做出说明并限期改正，并及时向本所报告：
（一）上市公司可能存在违反《上市规则》等本所相关业务规则的行为；
（二）证券服务机构及其签名人员出具的专业意见可能存在虚假记载、误导性陈述或重大遗漏等违法违规情形或者其他不当情形；
（三）持续督导期间上市公司发生《保荐办法》第七十二条规定的情形；
（四）对上市公司信息披露文件审阅中，保荐机构和保荐代表人发现上市公司存在违法违规行为或者上市公司存在重大风险；
（五）保荐代表人在履行持续督导职责过程中受到非正当因素干扰或上市公司不予以配合等情况；
（六）本所或保荐机构认为需要报告的其他情形。
第八章 独立意见发表
第二十七条 保荐机构应当对上市公司应披露的下列事项发表独立意见：
（一）募集资金使用情况；
（二）关联交易；
（三）对外担保（不含对合并范围内的子公司的担保）；
（四）委托理财、委托贷款；
（五）证券投资、套期保值业务；
（六）本所或保荐机构认为需要发表意见的其他事项。
第二十八条 保荐机构发表独立意见应至少包括以下内容：
（一）上市公司应披露事项的基本情况；
（二）保荐机构发表意见的依据，包括所履行的程序、核查的文件、现场检查的内容等；
（三）对上市公司的影响、可能存在的风险以及上市公司采取的措施是否有效；
（四）保荐机构发表的结论性意见，包括无异议、保留意见及其理由、反对意见及其理由、无法发表意见及其理由。
保荐机构应当将上述意见及时告知上市公司，并与上市公司相关公告同时披露。
第九章 现场检查
第二十九条 保荐代表人每季度应至少对上市公司进行一次定期现场检查。
上市公司出现以下情形之一的，保荐代表人应在知道或应当知道之日起十五日内或本所规定的期限内就相关事项进行专项现场检查：
（一）控股股东、实际控制人或其他关联方非经营性占用上市公司资金；
（二）违规为他人提供担保；
（三）违规使用募集资金；
（四）违规进行证券投资、套期保值业务等；
（五）关联交易显失公允或未履行审批程序和信息披露义务；
（六）业绩出现亏损或者营业利润比上年同期下降50%以上；
（七）应本所要求的其他情形。
保荐机构应当明确现场检查工作要求，确保现场检查工作质量。
第三十条 保荐代表人定期现场检查内容至少包括：
（一）公司治理和内部控制情况、三会运作情况；
（二）信息披露情况；
（三）独立性以及与控股股东、实际控制人及其他关联方资金往来情况；
（四）募集资金使用情况；
（五）关联交易、对外担保、重大对外投资情况；
（六）经营状况；
（七）保荐机构认为应予以现场检查的其他事项。
第三十一条 现场检查工作应至少有一名保荐代表人参加，保荐代表人在实施现场检查前应制定现场检查工作计划，现场检查工作计划至少应包括现场检查的工作进度、时间安排、人员安排和具体事项的现场检查方案。
第三十二条 现场检查开始后，保荐代表人应根据计划确定的现场检查事项、重点和方法，实施现场检查方案，获取现场检查资料和证据，并形成现场检查工作底稿和初步现场检查意见。
第三十三条 保荐代表人可以采取以下现场检查手段，以获取充分和恰当的现场检查资料和证据：
（一）与上市公司董事、监事、高级管理人员及有关人员沟通；
（二）察看上市公司生产经营场所；
（三）查阅和复印上市公司账簿和原始凭证以及其他资料；
（四）检查或走访对上市公司损益影响重大的控股或参股公司；
（六）走访或函证上市公司重要的供应商或客户；
（七）要求会计师事务所、律师事务所、资产评估机构以及其他证券服务机构提供专业意见；
（八）保荐机构、保荐代表人认为的其他必要手段。
第三十四条 在现场检查过程中，保荐代表人应及时记录和整理现场检查资料和证据，对资料是否详实和可靠、证据是否充分和恰当进行评估，并对照现场检查工作计划，检查现场检查方案是否已全面实施。
第三十五条 保荐机构应及时完成对保荐代表人现场检查工作底稿的复核工作，复核人员应重点关注保荐代表人现场检查程序、内容是否符合规定以及基于现场检查资料和现场检查证据形成的判断是否恰当。
第三十六条 保荐机构应在现场检查结束后的五个工作日内以书面方式告知上市公司现场检查结果及提请公司注意的事项，并对存在的问题提出整改建议。
第三十七条 保荐机构应在现场检查结束后的五个工作日内完成《现场检查报告》并报送本所备案。现场检查报告至少包括以下内容：
（一）本次现场检查的基本情况；
（二）对现场检查事项逐项发表的意见；
（三）提请上市公司注意的事项及建议；
（四）是否存在《保荐办法》及本所相关规定应当向中国证监会和本所报告的事项；
（五）上市公司及其他中介机构的配合情况；
（六）本次现场检查的结论。
第三十八条 对公司治理情况进行现场检查时，保荐代表人应关注公司章程是否有效执行，股东大会、董事会和监事会的议事规则是否得到执行，董事、监事和高级管理人员是否按照有关法律、法规和本所相关业务规则的要求履行职责，以及公司激励制度履行程序是否合规，公司治理机制能否有效发挥作用。
第三十九条 对内部控制制度建立和执行情况进行现场检查时，保荐代表人应重点关注内部机构设置和权责分配是否科学合理，对部门或岗位业务的权限范围、审批程序和相应责任等规定是否明确合规，内部审计部门和审计委员会构成、履行职责是否合规，内部审计部门和审计委员会对公司内部控制有效性的评估是否与事实相符，风险评估和控制措施是否有效执行等。
第四十条 对股东大会、董事会和监事会的运作情况进行现场检查时，保荐代表人应关注股东大会、董事会和监事会的召集、召开及表决是否合规，会议记录是否完整，会议资料是否保存完整，会议决议是否有出席会议董事或监事的签名确认等。
第四十一条 对独立性进行现场检查时，保荐代表人应重点关注控股股东、实际控制人及其关联方是否占用上市公司资金及其他资源，上市公司资产是否完整，人员、财务、机构和业务是否独立等。
第四十二条 对信息披露情况进行现场检查时，保荐代表人应重点关注上市公司已披露的公告与实际情况是否一致、披露内容是否完整，以及是否存在应予披露而未披露的事项，信息披露档案资料是否完整。
第四十三条 对募集资金使用情况进行现场检查时，保荐代表人应重点关注以下情况：
（一）募集资金是否存放在募集资金专户，募集资金专户存储制度有没有严格执行，三方监管协议是否有效执行，募集资金是否存在被控股股东和实际控制人占用、委托理财等情形；
（二）是否存在未经履行审议程序擅自变更募集资金用途、暂时补充流动资金、置换预先投入、改变实施地点等情形；
（三）募集资金使用与已披露情况是否一致，募集资金投资项目的投资进度、投资效益是否与招股说明书相符，募集资金项目是否存在重大风险等；
（四）是否存在其他违反《中小企业板上市公司募集资金管理细则》的情况。
第四十四条 对关联交易进行现场检查时，保荐代表人应重点关注关联交易的必要性、是否履行了信息披露义务和审议程序、定价是否公允，关联方应收款项的可回收性，关联交易产生的收入或利润占上市公司营业收入或利润总额的比例及对上市公司经营独立性的影响，是否存在关联交易非关联化的情况，以及关联交易的实际执行情况等。
第四十五条 对对外担保进行现场检查时，保荐代表人应重点关注上市公司是否履行了信息披露义务和审议程序、对外担保风险控制制度是否有效执行、是否采取了反担保措施、反担保措施是否有效以及被担保方是否出现财务状况恶化、到期不清偿被担保债务等可能引发担保风险事项等。
第四十六条 对重大对外投资进行现场检查时，保荐代表人应重点关注上市公司是否履行了审议程序、投资项目实施情况是否与计划一致、是否存在与披露不一致的投资风险及上市公司相关措施是否能够有效避免风险。
第四十七条 对证券投资、套期保值业务进行现场检查时，保荐代表人应重点关注证券投资、套期保值的决策程序是否合规、是否建立并有效执行专门内控制度，投资资金是否为自有资金，上市公司证券投资、套期保值业务是否存在重大风险以及采取的风险控制措施是否有效等。
第四十八条 对经营情况进行现场检查时，保荐代表人应重点关注上市公司下列情况是否发生重大变化或存在重大风险，上市公司对上述变化或风险是否予以充分披露：
（一）已订立的重大采购和销售合同对公司生产经营的影响以及重要原材料和主导产品销售价格的变化情况；
（二）经营模式是否发生变化以及重要经营场所的运转情况；
（三）产品的市场前景、行业经营环境的变化、商业周期或产品生命周期情况、市场占有率变化情况；
（四）核心竞争力是否发生重大变化、上市公司核心技术是否存在依赖他人或面临被淘汰等情况；
（五）宏观经济政策和法律法规是否发生重大变化以及对上市公司的影响；
（六）是否存在影响上市公司经营的其他因素。
第十章 工作底稿
第四十九条 保荐机构应该建立健全上市推荐和持续督导业务工作底稿制度。保荐机构应针对每一项目建立独立的工作底稿，保荐工作底稿的保存期应不少于10年。
第五十条 保荐工作底稿应内容完整、记录清晰、结论明确，真实、准确、完整地反映整个保荐工作的全过程，应包括与形成相关报告和独立意见有关的所有重要事项。
第五十一条 工作底稿应载明下列事项：
（一）工作底稿编制的时间；
（二）保荐工作履行的程序、核查的文件以及现场检查的资料等；
（三）发表的结论性意见；
（四）执行人员姓名和执行日期；
（五）复核人员姓名、复核日期和复核意见；
（六）其他需要记载的事项等。
第五十二条 保荐机构应当建立保荐工作底稿的复核制度，明确规定复核的要求和责任。复核人员应做出必要的复核记录，明确表示复核意见并签名。
如果发现保荐工作底稿存在问题，复核人员应在复核意见中加以说明，并要求相关人员补充或重编工作底稿。
第五十三条 保荐机构应建立保荐工作底稿的保密制度。如果保荐机构以外的组织或个人要求查阅工作底稿，必须由保荐业务负责人批准，但司法机关、证券监管部门和其他有权部门依法进行查阅的除外。
第十一章 保荐机构其他义务
第五十四条 保荐机构应建立对上市公司持续培训制度，定期或不定期对上市公司董事、监事、高级管理人员、中层以上管理人员、上市公司控股股东相关人员进行培训。保荐机构应在每次培训结束后五个工作日内将培训情况以书面形式报送本所。
第五十五条 保荐机构每半年应至少对上市公司董事、监事、高级管理人员、中层以上管理人员及上市公司控股股东相关人员进行一次培训，培训内容包括但不限于股票上市规则，本所发布的细则、指引、通知、办法、备忘录等相关规定以及上市公司违规案例等。
第五十六条 上市公司出现以下情形之一的，保荐机构应在十个工作日内对上市公司董事、监事、高级管理人员、中层以上管理人员及上市公司控股股东相关人员进行专门培训：
（一）实际控制人发生变更的；
（二）受到中国证监会行政处罚或者本所通报批评、公开谴责处分的；
（三）信息披露考核结果为不合格的；
（四）本所要求培训的其他情形。
第五十七条 上市公司最近二年信息披露考核结果为合格或不合格的，保荐机构应当加强督导上市公司全体董事、监事、高级管理人员学习并遵守信息披露规则，及时审阅上市公司对外披露的公告及附件，督促上市公司提高信息披露质量。
第五十八条 保荐机构按照有关规定对上市公司违法违规事项公开发表声明的，应当于披露前向本所报告，经本所审核后在指定媒体上公告。本所对上述公告进行形式审核，对其内容的真实性不承担责任。
第五十九条 保荐机构应当在每年1月31日前和7月15日前分别向本所报送年度保荐工作报告书和半年度保荐工作报告书。
第六十条 持续督导工作结束后，保荐机构应当在上市公司公告年度报告之日起的10个工作日内向本所报送保荐总结报告书。保荐机构法定代表人和保荐代表人应当在保荐总结报告书上签字。
保荐总结报告书应当包括下列内容：
（一）上市公司的基本情况；
（二）保荐工作概述；
（三）履行保荐职责期间发生的重大事项及处理情况；
（四）对上市公司配合保荐工作情况的说明及评价；
（五）对证券服务机构参与证券发行上市、持续督导相关工作情况的说明及评价；
（六）中国证监会、本所要求的其他事项。
第十二章 保荐工作内部管理
第六十一条 保荐机构的保荐业务负责人、内核负责人负责监督、执行保荐业务各项制度并承担相应的责任。
保荐机构应当指定2名保荐代表人具体负责1家上市公司的保荐工作，并确保保荐机构有关部门和人员有效分工协作。保荐机构可以指定1名项目协办人。
第六十二条 保荐机构应建立并有效执行保荐工作的内控制度，包括持续督导的业务流程、监督和复核机制等。
第六十三条 承担持续督导职责的保荐代表人应针对上市公司的具体情况，制定持续督导工作计划和实施方案，就持续督导工作的主要内容、重点、实施方式、步骤等做出完整、有效的安排。
保荐代表人应根据上市公司具体情况、结合上市公司重要风险点以及影响上市公司规范运作、信守承诺、履行信息披露义务的关键因素，明确持续督导工作重点。
第六十四条 保荐机构应指定专人进行持续督导的复核工作，复核人员应重点关注保荐代表人发表独立意见、现场检查以及培训工作的履行情况等。
第六十五条 保荐机构应建立健全保荐代表人及从事保荐业务其他相关人员的保荐业务持续培训制度。
保荐机构每半年至少组织一次对保荐代表人及其他保荐业务相关人员上市推荐和持续督导业务培训，强化保荐代表人对上市推荐和持续督导相关业务规则的学习，并将培训情况在五个工作日内报送本所备案。
第六十六条 保荐机构应建立执业质量考核机制，在每年5月31日前对保荐代表人上一年度的保荐工作进行考核，并在考核结束后五个工作日内将考核结果报本所备案。
第六十七条 保荐机构应建立持续督导工作与自营、资产管理等部门业务之间的信息隔离制度，不得向其透露上市公司未公开的重大信息，不得进行内幕交易。
第六十八条 保荐机构和保荐代表人应当配合本所做好以下工作：
（一）在规定期限内回复本所问询；
（二）按时出席本所约见；
（三）对公司特定事项进行核查；
（四）按规定报送相关文件资料；
（五）按本所要求提供保荐工作档案；
（六）参加本所组织的培训和会议；
（七）本所要求的其他工作。
不分页显示 总共2页 1 [2]
下一页
商业银行信息科技风险管理指引 ——附加英文版
中国银行业监督管理委员会
商业银行信息科技风险管理指引
第一章 总 则
第一条 为加强商业银行信息科技风险管理，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》、《中华人民共和国外资银行管理条例》，以及国家信息安全相关要求和有关法律法规，制定本指引。
第二条 本指引适用于在中华人民共和国境内依法设立的法人商业银行。
政策性银行、农村合作银行、城市信用社、农村信用社、村镇银行、贷款公司、金融资产管理公司、信托公司、财务公司、金融租赁公司、汽车金融公司、货币经纪公司等其他银行业金融机构参照执行。
第三条 本指引所称信息科技是指计算机、通信、微电子和软件工程等现代信息技术，在商业银行业务交易处理、经营管理和内部控制等方面的应用，并包括进行信息科技治理，建立完整的管理组织架构，制订完善的管理制度和流程。
第四条 本指引所称信息科技风险，是指信息科技在商业银行运用过程中，由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。
第五条 信息科技风险管理的目标是通过建立有效的机制，实现对商业银行信息科技风险的识别、计量、监测和控制，促进商业银行安全、持续、稳健运行，推动业务创新，提高信息技术使用水平，增强核心竞争力和可持续发展能力。
第二章 信息科技治理
第六条 商业银行法定代表人是本机构信息科技风险管理的第一责任人，负责组织本指引的贯彻落实。
第七条 商业银行的董事会应履行以下信息科技管理职责：
（一） 遵守并贯彻执行国家有关信息科技管理的法律、法规和技术标准，落实中国银行业监督管理委员会（以下简称银监会）相关监管要求。
（二） 审查批准信息科技战略，确保其与银行的总体业务战略和重大策略相一致。评估信息科技及其风险管理工作的总体效果和效率。
（三） 掌握主要的信息科技风险，确定可接受的风险级别，确保相关风险能够被识别、计量、监测和控制。
（四） 规范职业道德行为和廉洁标准，增强内部文化建设，提高全体人员对信息科技风险管理重要性的认识。
（五） 设立一个由来自高级管理层、信息科技部门和主要业务部门的代表组成的专门信息科技管理委员会，负责监督各项职责的落实，定期向董事会和高级管理层汇报信息科技战略规划的执行、信息科技预算和实际支出、信息科技的整体状况。
（六） 在建立良好的公司治理的基础上进行信息科技治理，形成分工合理、职责明确、相互制衡、报告关系清晰的信息科技治理组织结构。加强信息科技专业队伍的建设，建立人才激励机制。
（七） 确保内部审计部门进行独立有效的信息科技风险管理审计，对审计报告进行确认并落实整改。
（八） 每年审阅并向银监会及其派出机构报送信息科技风险管理的年度报告。
（九） 确保信息科技风险管理工作所需资金。
（十） 确保银行所有员工充分理解和遵守经其批准的信息科技风险管理制度和流程，并安排相关培训。
（十一） 确保本法人机构涉及客户信息、账务信息以及产品信息等的核心系统在中国境内独立运行，并保持最高的管理权限，符合银监会监管和实施现场检查的要求，防范跨境风险。
（十二） 及时向银监会及其派出机构报告本机构发生的重大信息科技事故或突发事件，按相关预案快速响应。
（十三） 配合银监会及其派出机构做好信息科技风险监督检查工作，并按照监管意见进行整改。
（十四） 履行信息科技风险管理其他相关工作。
第八条 商业银行应设立首席信息官，直接向行长汇报，并参与决策。首席信息官的职责包括：
（一） 直接参与本银行与信息科技运用有关的业务发展决策。
（二） 确保信息科技战略，尤其是信息系统开发战略，符合本银行的总体业务战略和信息科技风险管理策略。
（三） 负责建立一个切实有效的信息科技部门，承担本银行的信息科技职责。确保其履行：信息科技预算和支出、信息科技策略、标准和流程、信息科技内部控制、专业化研发、信息科技项目发起和管理、信息系统和信息科技基础设施的运行、维护和升级、信息安全管理、灾难恢复计划、信息科技外包和信息系统退出等职责。
（四） 确保信息科技风险管理的有效性，并使有关管理措施落实到相关的每一个内设机构和分支机构。
（五） 组织专业培训，提高人才队伍的专业技能。
（六） 履行信息科技风险管理其他相关工作。
第九条 商业银行应对信息科技部门内部管理职责进行明确的界定；各岗位的人员应具有相应的专业知识和技能，重要岗位应制定详细完整的工作手册并适时更新。对相关人员应采取下列风险防范措施：
（一） 验证个人信息，包括核验有效身份证件、学历证明、工作经历和专业资格证书等信息。
（二） 审核信息科技员工的道德品行，确保其具备相应的职业操守。
（三） 确保员工了解、遵守信息科技策略、指导原则、信息保密、授权使用信息系统、信息科技管理制度和流程等要求，并同员工签订相关协议。
（四） 评估关键岗位信息科技员工流失带来的风险，做好安排候补员工和岗位接替计划等防范措施；在员工岗位发生变化后及时变更相关信息。
第十条 商业银行应设立或指派一个特定部门负责信息科技风险管理工作，并直接向首席信息官或首席风险官（风险管理委员会）报告工作。该部门应为信息科技突发事件应急响应小组的成员之一，负责协调制定有关信息科技风险管理策略，尤其是在涉及信息安全、业务连续性计划和合规性风险等方面，为业务部门和信息科技部门提供建议及相关合规性信息，实施持续信息科技风险评估，跟踪整改意见的落实，监控信息安全威胁和不合规事件的发生。
第十一条 商业银行应在内部审计部门设立专门的信息科技风险审计岗位，负责信息科技审计制度和流程的实施，制订和执行信息科技审计计划，对信息科技整个生命周期和重大事件等进行审计。
第十二条 商业银行应按照知识产权相关法律法规，制定本机构信息科技知识产权保护策略和制度，并使所有员工充分理解并遵照执行。确保购买和使用合法的软硬件产品，禁止侵权盗版；采取有效措施保护本机构自主知识产权。
第十三条 商业银行应依据有关法律法规的要求，规范和及时披露信息科技风险状况。
第三章 信息科技风险管理
第十四条 商业银行应制定符合银行总体业务规划的信息科技战略、信息科技运行计划和信息科技风险评估计划，确保配置足够人力、财力资源，维持稳定、安全的信息科技环境。
第十五条 商业银行应制定全面的信息科技风险管理策略，包括但不限于下述领域：
（一） 信息分级与保护。
（二） 信息系统开发、测试和维护。
（三） 信息科技运行和维护。
（四） 访问控制。
（五） 物理安全。
（六） 人员安全。
（七） 业务连续性计划与应急处置。
第十六条 商业银行应制定持续的风险识别和评估流程，确定信息科技中存在隐患的区域，评价风险对其业务的潜在影响，对风险进行排序，并确定风险防范措施及所需资源的优先级别（包括外包供应商、产品供应商和服务商）。
第十七条 商业银行应依据信息科技风险管理策略和风险评估结果，实施全面的风险防范措施。防范措施应包括：
（一） 制定明确的信息科技风险管理制度、技术标准和操作规程等，定期进行更新和公示。
（二） 确定潜在风险区域，并对这些区域进行详细和独立的监控，实现风险最小化。建立适当的控制框架，以便于检查和平衡风险；定义每个业务级别的控制内容，包括：
1. 最高权限用户的审查。
2. 控制对数据和系统的物理和逻辑访问。
3. 访问授权以“必需知道”和“最小授权”为原则。
4. 审批和授权。
5. 验证和调节。
第十八条 商业银行应建立持续的信息科技风险计量和监测机制，其中应包括：
（一） 建立信息科技项目实施前及实施后的评价机制。
（二） 建立定期检查系统性能的程序和标准。
（三） 建立信息科技服务投诉和事故处理的报告机制。
（四） 建立内部审计、外部审计和监管发现问题的整改处理机制。
（五） 安排供应商和业务部门对服务水平协议的完成情况进行定期审查。
（六） 定期评估新技术发展可能造成的影响和已使用软件面临的新威胁。
（七） 定期进行运行环境下操作风险和管理控制的检查。
（八） 定期进行信息科技外包项目的风险状况评价。
第十九条 中资商业银行在境外设立的机构及境内的外资商业银行，应当遵守境内外监管机构关于信息科技风险管理的要求，并防范因监管差异所造成的风险。
第四章 信息安全
第二十条 商业银行信息科技部门负责建立和实施信息分类和保护体系，商业银行应使所有员工都了解信息安全的重要性，并组织提供必要的培训，让员工充分了解其职责范围内的信息保护流程。
第二十一条 商业银行信息科技部门应落实信息安全管理职能。该职能应包括建立信息安全计划和保持长效的管理机制，提高全体员工信息安全意识，就安全问题向其他部门提供建议，并定期向信息科技管理委员会提交本银行信息安全评估报告。信息安全管理机制应包括信息安全标准、策略、实施计划和持续维护计划。
信息安全策略应涉及以下领域：
（一） 安全制度管理。
（二） 信息安全组织管理。
（三） 资产管理。
（四） 人员安全管理。
（五） 物理与环境安全管理。
（六） 通信与运营管理。
（七） 访问控制管理。
（八） 系统开发与维护管理。
（九） 信息安全事故管理。
（十） 业务连续性管理。
（十一） 合规性管理。
第二十二条 商业银行应建立有效管理用户认证和访问控制的流程。用户对数据和系统的访问必须选择与信息访问级别相匹配的认证机制，并且确保其在信息系统内的活动只限于相关业务能合法开展所要求的最低限度。用户调动到新的工作岗位或离开商业银行时，应在系统中及时检查、更新或注销用户身份。
第二十三条 商业银行应确保设立物理安全保护区域，包括计算机中心或数据中心、存储机密信息或放置网络设备等重要信息科技设备的区域，明确相应的职责，采取必要的预防、检测和恢复控制措施。
第二十四条 商业银行应根据信息安全级别，将网络划分为不同的逻辑安全域（以下简称为域）。应该对下列安全因素进行评估，并根据安全级别定义和评估结果实施有效的安全控制，如对每个域和整个网络进行物理或逻辑分区、实现网络内容过滤、逻辑访问控制、传输加密、网络监控、记录活动日志等。
（一） 域内应用程序和用户组的重要程度。
（二） 各种通讯渠道进入域的访问点。
（三） 域内配置的网络设备和应用程序使用的网络协议和端口。
（四） 性能要求或标准。
（五） 域的性质，如生产域或测试域、内部域或外部域。
（六） 不同域之间的连通性。
（七） 域的可信程度。
第二十五条 商业银行应通过以下措施，确保所有计算机操作系统和系统软件的安全：
（一） 制定每种类型操作系统的基本安全要求，确保所有系统满足基本安全要求。
（二） 明确定义包括终端用户、系统开发人员、系统测试人员、计算机操作人员、系统管理员和用户管理员等不同用户组的访问权限。
（三） 制定最高权限系统账户的审批、验证和监控流程，并确保最高权限用户的操作日志被记录和监察。
（四） 要求技术人员定期检查可用的安全补丁，并报告补丁管理状态。
（五） 在系统日志中记录不成功的登录、重要系统文件的访问、对用户账户的修改等有关重要事项，手动或自动监控系统出现的任何异常事件，定期汇报监控情况。
第二十六条 商业银行应通过以下措施，确保所有信息系统的安全：
（一） 明确定义终端用户和信息科技技术人员在信息系统安全中的角色和职责。
（二） 针对信息系统的重要性和敏感程度，采取有效的身份验证方法。
（三） 加强职责划分，对关键或敏感岗位进行双重控制。
（四） 在关键的接合点进行输入验证或输出核对。
（五） 采取安全的方式处理保密信息的输入和输出，防止信息泄露或被盗取、篡改。
（六） 确保系统按预先定义的方式处理例外情况，当系统被迫终止时向用户提供必要信息。
（七） 以书面或电子格式保存审计痕迹。
（八） 要求用户管理员监控和审查未成功的登录和用户账户的修改。
第二十七条 商业银行应制定相关策略和流程，管理所有生产系统的活动日志，以支持有效的审核、安全取证分析和预防欺诈。日志可以在软件的不同层次、不同的计算机和网络设备上完成，日志划分为两大类：
（一） 交易日志。交易日志由应用软件和数据库管理系统产生，内容包括用户登录尝试、数据修改、错误信息等。交易日志应按照国家会计准则要求予以保存。
（二） 系统日志。系统日志由操作系统、数据库管理系统、防火墙、入侵检测系统和路由器等生成，内容包括管理登录尝试、系统事件、网络事件、错误信息等。系统日志保存期限按系统的风险等级确定，但不能少于一年。
商业银行应保证交易日志和系统日志中包含足够的内容，以便完成有效的内部控制、解决系统故障和满足审计需要；应采取适当措施保证所有日志同步计时，并确保其完整性。在例外情况发生后应及时复查系统日志。交易日志或系统日志的复查频率和保存周期应由信息科技部门和有关业务部门共同决定，并报信息科技管理委员会批准。
第二十八条 商业银行应采取加密技术，防范涉密信息在传输、处理、存储过程中出现泄露或被篡改的风险，并建立密码设备管理制度，以确保：
（一） 使用符合国家要求的加密技术和加密设备。
（二） 管理、使用密码设备的员工经过专业培训和严格审查。
（三） 加密强度满足信息机密性的要求。
（四） 制定并落实有效的管理流程，尤其是密钥和证书生命周期管理。
第二十九条 商业银行应配备切实有效的系统，确保所有终端用户设备的安全，并定期对所有设备进行安全检查，包括台式个人计算机（PC）、便携式计算机、柜员终端、自动柜员机（ATM）、存折打印机、读卡器、销售终端（POS）和个人数字助理（PDA）等。
第三十条 商业银行应制定相关制度和流程，严格管理客户信息的采集、处理、存贮、传输、分发、备份、恢复、清理和销毁。
第三十一条 商业银行应对所有员工进行必要的培训，使其充分掌握信息科技风险管理制度和流程，了解违反规定的后果，并对违反安全规定的行为采取零容忍政策。
第五章 信息系统开发、测试和维护
第三十二条 商业银行应有能力对信息系统进行需求分析、规划、采购、开发、测试、部署、维护、升级和报废，制定制度和流程，管理信息科技项目的优先排序、立项、审批和控制。项目实施部门应定期向信息科技管理委员会提交重大信息科技项目的进度报告，由其进行审核，进度报告应当包括计划的重大变更、关键人员或供应商的变更以及主要费用支出情况。应在信息系统投产后一定时期内，组织对系统的后评价，并根据评价结果及时对系统功能进行调整和优化。
第三十三条 商业银行应认识到信息科技项目相关的风险，包括潜在的各种操作风险、财务损失风险和因无效项目规划或不适当的项目管理控制产生的机会成本，并采取适当的项目管理方法，控制信息科技项目相关的风险。
第三十四条 商业银行应采取适当的系统开发方法，控制信息系统的生命周期。典型的系统生命周期包括系统分析、设计、开发或外购、测试、试运行、部署、维护和退出。所采用的系统开发方法应符合信息科技项目的规模、性质和复杂度。
第三十五条 商业银行应制定相关控制信息系统变更的制度和流程，确保系统的可靠性、完整性和可维护性，其中应包括以下要求：
（一） 生产系统与开发系统、测试系统有效隔离。
（二） 生产系统与开发系统、测试系统的管理职能相分离。
（三） 除得到管理层批准执行紧急修复任务外，禁止应用程序开发和维护人员进入生产系统，且所有的紧急修复活动都应立即进行记录和审核。
（四） 将完成开发和测试环境的程序或系统配置变更应用到生产系统时，应得到信息科技部门和业务部门的联合批准，并对变更进行及时记录和定期复查。
第三十六条 商业银行应制定并落实相关制度、标准和流程，确保信息系统开发、测试、维护过程中数据的完整性、保密性和可用性。
第三十七条 商业银行应建立并完善有效的问题管理流程，以确保全面地追踪、分析和解决信息系统问题，并对问题进行记录、分类和索引；如需供应商提供支持服务或技术援助，应向相关人员提供所需的合同和相关信息，并将过程记录在案；对完成紧急恢复起至关重要作用的任务和指令集，应有清晰的描述和说明，并通知相关人员。
第三十八条 商业银行应制定相关制度和流程，控制系统升级过程。当设备达到预期使用寿命或性能不能满足业务需求，基础软件（操作系统、数据库管理系统、中间件）或应用软件必须升级时，应及时进行系统升级，并将该类升级活动纳入信息科技项目，接受相关的管理和控制，包括用户验收测试。
第六章 信息科技运行
第三十九条 商业银行在选择数据中心的地理位置时，应充分考虑环境威胁（如是否接近自然灾害多发区、危险或有害设施、繁忙或主要公路），采取物理控制措施，监控对信息处理设备运行构成威胁的环境状况，并防止因意外断电或供电干扰影响数据中心的正常运行。
第四十条 商业银行应严格控制第三方人员（如服务供应商）进入安全区域，如确需进入应得到适当的批准，其活动也应受到监控；针对长期或临时聘用的技术人员和承包商，尤其是从事敏感性技术相关工作的人员，应制定严格的审查程序，包括身份验证和背景调查。
第四十一条 商业银行应将信息科技运行与系统开发和维护分离，确保信息科技部门内部的岗位制约；对数据中心的岗位和职责做出明确规定。
第四十二条 商业银行应按照有关法律法规要求保存交易记录，采取必要的程序和技术，确保存档数据的完整性，满足安全保存和可恢复要求。
第四十三条 商业银行应制定详尽的信息科技运行操作说明。如在信息科技运行手册中说明计算机操作人员的任务、工作日程、执行步骤，以及生产与开发环境中数据、软件的现场及非现场备份流程和要求（即备份的频率、范围和保留周期）。
第四十四条 商业银行应建立事故管理及处置机制，及时响应信息系统运行事故，逐级向相关的信息科技管理人员报告事故的发生，并进行记录、分析和跟踪，直到完成彻底的处置和根本原因分析。商业银行应建立服务台，为用户提供相关技术问题的在线支持，并将问题提交给相关信息科技部门进行调查和解决。
第四十五条 商业银行应建立服务水平管理相关的制度和流程，对信息科技运行服务水平进行考核。
第四十六条 商业银行应建立连续监控信息系统性能的相关程序，及时、完整地报告例外情况；该程序应提供预警功能，在例外情况对系统性能造成影响前对其进行识别和修正。
第四十七条 商业银行应制定容量规划，以适应由于外部环境变化产生的业务发展和交易量增长。容量规划应涵盖生产系统、备份系统及相关设备。
第四十八条 商业银行应及时进行维护和适当的系统升级，以确保与技术相关服务的连续可用性，并完整保存记录（包括疑似和实际的故障、预防性和补救性维护记录），以确保有效维护设备和设施。
第四十九条 商业银行应制定有效的变更管理流程，以确保生产环境的完整性和可靠性。包括紧急变更在内的所有变更都应记入日志，由信息科技部门和业务部门共同审核签字，并事先进行备份,以便必要时可以恢复原来的系统版本和数据文件。紧急变更成功后,应通过正常的验收测试和变更管理流程,采用恰当的修正以取代紧急变更。
第七章 业务连续性管理
第五十条 商业银行应根据自身业务的性质、规模和复杂程度制定适当的业务连续性规划，以确保在出现无法预见的中断时，系统仍能持续运行并提供服务；定期对规划进行更新和演练，以保证其有效性。
第五十一条 商业银行应评估因意外事件导致其业务运行中断的可能性及其影响，包括评估可能由下述原因导致的破坏：
（一） 内外部资源的故障或缺失（如人员、系统或其他资产）。
（二） 信息丢失或受损。
（三） 外部事件（如战争、地震或台风等）。
第五十二条 商业银行应采取系统恢复和双机热备处理等措施降低业务中断的可能性，并通过应急安排和保险等方式降低影响。
第五十三条 商业银行应建立维持其运营连续性策略的文档，并制定对策略的充分性和有效性进行检查和沟通的计划。其中包括：
（一）规范的业务连续性计划,明确降低短期、中期和长期中断所造成影响的措施，包括但不限于:
1．资源需求（如人员、系统和其他资产）以及获取资源的方式。
2．运行恢复的优先顺序。
3．与内部各部门及外部相关各方（尤其是监管机构、客户和媒体等）的沟通安排。
（二）更新实施业务连续性计划的流程及相关联系信息。
（三）验证受中断影响的信息完整性的步骤。
（四）当商业银行的业务或风险状况发生变化时，对本条（一）到（三）进行审核并升级。
第五十四条 商业银行的业务连续性计划和年度应急演练结果应由信息科技风险管理部门或信息科技管理委员会确认。
第八章 外 包
第五十五条 商业银行不得将其信息科技管理责任外包，应合理谨慎监督外包职能的履行。
第五十六条 商业银行实施重要外包（如数据中心和信息科技基础设施等)应格外谨慎，在准备实施重要外包时应以书面材料正式报告银监会或其派出机构。
第五十七条 商业银行在签署外包协议或对外包协议进行重大变更前，应做好相关准备，其中包括：
（一） 分析外包是否适合商业银行的组织结构和报告路线、业务战略、总体风险控制，是否满足商业银行履行对外包服务商的监督义务。
（二） 考虑外包协议是否允许商业银行监测和控制与外包相关的操作风险。
（三） 充分审查、评估外包服务商的财务稳定性和专业经验，对外包服务商进行风险评估，考查其设施和能力是否足以承担相应的责任。
（四） 考虑外包协议变更前后实施的平稳过渡（包括终止合同可能发生的情况）。
（五） 关注可能存在的集中风险，如多家商业银行共用同一外包服务商带来的潜在业务连续性风险。
第五十八条 商业银行在与外包服务商合同谈判过程中，应考虑的因素包括但不限于：
（一） 对外包服务商的报告要求和谈判必要条件。
（二） 银行业监管机构和内部审计、外部审计能执行足够的监督。
（三） 通过界定信息所有权、签署保密协议和采取技术防护措施保护客户信息和其他信息。
（四） 担保和损失赔偿是否充足。
（五） 外包服务商遵守商业银行有关信息科技风险制度和流程的意愿及相关措施。
（六） 外包服务商提供的业务连续性保障水平，以及提供相关专属资源的承诺。
（七） 第三方供应商出现问题时，保证软件持续可用的相关措施。
（八） 变更外包协议的流程，以及商业银行或外包服务商选择变更或终止外包协议的条件，例如：
1. 商业银行或外包服务商的所有权或控制权发生变化。
2. 商业银行或外包服务商的业务经营发生重大变化。
3. 外包服务商提供的服务不充分，造成商业银行不能履行监督义务。
第五十九条 商业银行在实施双方关系管理，以及起草服务水平协议时，应考虑的因素包括但不限于：
（一） 提出定性和定量的绩效指标，评估外包服务商为商业银行及其相关客户提供服务的充分性。
（二） 通过服务水平报告、定期自我评估、内部或外部独立审计进行绩效考核。
（三） 针对绩效不达标的情况调整流程，采取整改措施。
第六十条 商业银行应加强信息科技相关外包管理工作，确保商业银行的客户资料等敏感信息的安全，包括但不限于采取以下措施：
（一） 实现本银行客户资料与外包服务商其他客户资料的有效隔离。
（二） 按照“必需知道”和“最小授权”原则对外包服务商相关人员授权。
（三） 要求外包服务商保证其相关人员遵守保密规定。
（四） 应将涉及本银行客户资料的外包作为重要外包，并告知相关客户。
（五） 严格控制外包服务商再次对外转包，采取足够措施确保商业银行相关信息的安全。
（六） 确保在中止外包协议时收回或销毁外包服务商保存的所有客户资料。
第六十一条 商业银行应建立恰当的应急措施，应对外包服务商在服务中可能出现的重大缺失。尤其需要考虑外包服务商的重大资源损失，重大财务损失和重要人员的变动，以及外包协议的意外终止。
第六十二条 商业银行所有信息科技外包合同应由信息科技风险管理部门、法律部门和信息科技管理委员会审核通过。商业银行应设立流程定期审阅和修订服务水平协议。
第九章 内部审计
第六十三条 商业银行内部审计部门应根据业务的性质、规模和复杂程度，对相关系统及其控制的适当性和有效性进行监测。内部审计部门应配备足够的资源和具有专业能力的信息科技审计人员，独立于本银行的日常活动，具有适当的授权访问本银行的记录。
第六十四条 商业银行内部信息科技审计的责任包括：
（一） 制定、实施和调整审计计划，检查和评估商业银行信息科技系统和内控机制的充分性和有效性。
（二） 按照第（一）款规定完成审计工作，在此基础上提出整改意见。
（三） 检查整改意见是否得到落实。
（四） 执行信息科技专项审计。信息科技专项审计，是指对信息科技安全事故进行的调查、分析和评估，或审计部门根据风险评估结果对认为必要的特殊事项进行的审计。
第六十五条 商业银行应根据业务性质、规模和复杂程度，信息科技应用情况，以及信息科技风险评估结果，决定信息科技内部审计范围和频率。但至少应每三年进行一次全面审计。
第六十六条 商业银行在进行大规模系统开发时，应要求信息科技风险管理部门和内部审计部门参与，保证系统开发符合本银行信息科技风险管理标准。
第十章 外部审计
第六十七条 商业银行可以在符合法律、法规和监管要求的情况下，委托具备相应资质的外部审计机构进行信息科技外部审计。
第六十八条 在委托审计过程中，商业银行应确保外部审计机构能够对本银行的硬件、软件、文档和数据进行检查，以发现信息科技存在的风险，国家法律、法规及监管部门规章、规范性文件规定的重要商业、技术保密信息除外。
第六十九条 商业银行在实施外部审计前应与外部审计机构进行充分沟通，详细确定审计范围，不应故意隐瞒事实或阻挠审计检查。
第七十条 银监会及其派出机构必要时可指定具备相应资质的外部审计机构对商业银行执行信息科技审计或相关检查。外部审计机构根据银监会或其派出机构的委托或授权对商业银行进行审计时，应出示委托授权书，并依照委托授权书上规定的范围进行审计。
第七十一条 外部审计机构根据授权出具的审计报告，经银监会及其派出机构审阅批准后具有与银监会及其派出机构出具的检查报告同等的效力，被审计的商业银行应根据该审计报告提出整改计划，并在规定的时间内实施整改。
第七十二条 商业银行在委托外部审计机构进行外部审计时，应与其签订保密协议，并督促其严格遵守法律法规，保守本银行的商业秘密和信息科技风险信息，防止其擅自对本银行提供的任何文件进行修改、复制或带离现场。
第十一章 附 则
第七十三条 未设董事会的商业银行，应当由其经营决策机构履行本指引中董事会的有关信息科技风险管理职责。
第七十四条 银监会依法对商业银行的信息科技风险管理实施监督检查。
第七十五条 本指引由银监会负责解释、修订。
第七十六条 本指引自颁布之日起施行，《银行业金融机构信息系统风险管理指引》（银监发〔2006〕63号）同时废止。
关于同意建立武汉青山国家环保产业基地的复函
国家环境保护总局
国家环境保护总局
环函[2002]177号
关于同意建立武汉青山国家环保产业基地的复函
武汉市人民政府：
你市《关于建立武汉青山国家环保产业基地的报告》(武政文［2002］60号)收悉。经研究，现函复如下：
一、同意在你市建立国家环保产业基地。按照《武汉青山国家环保产业基地建设规划》，武汉环保产业基地建设应以青山区为核心区，武汉市为发展区，辐射全省乃至华中地区，促进武汉市及全省环保产业的快速发展。重点发展固体废弃物资源综合利用和脱硫成套技术与设备两个主导产业。
二、环保产业基地建设过程中，应发挥武汉科技研发优势，加速环保科技成果转化，提升环保产品和设备的技术水平，提高环保产品的竞争力。应加快环境科技研发进程，解决环境科技成果产品化、产业化等关键环节，加快环保技术设备的国产化能力，形成自主的知识产权和核心技术。发挥武汉大中型企业多、加工配套能力强的特点，鼓励大中型企业和科技研发机构大力发展环保产业，提高环保企业的竞争力。
三、请你市加强对环保产业基地建设的领导和协调，制定促进环保产业基地建设和发展的相关政策，采取切实可行的扶持措施，建立和完善市场机制下的管理和服务运作模式，积极整合各种资源优势，探索一条符合我国国情并具有武汉特色的环保产业基地建设发展之路，高标准建设武汉青山国家环保产业基地，为全国环保产业基地建设和环保产业发展积累经验。
四、请将环保产业基地建设的进展情况和存在的问题及时告知我局。
二○○二年七月一日
